Hacktoberfest 2026 : les issues que les mainteneurs ont marquées pour octobre, ouvertes et accessibles aux débutants. Parcourir les issues Hacktoberfest

Fill password fields: from the Keychain by reference, or agent-supplied text with approval

Ouverte
  • Quelque chose ne va pas ?
#117 1 commentaire 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 1 jour

Personne n'a encore pris cette issue.

Évaluation

Difficulté
5/5
Temps estimé
Plus d'une semaine
Accessibilité débutants
25/100
Type d'issue
Fonctionnalité
Clarté
Plutôt claire
Activité
Active
Stack technique
macos, swift
Domaine
authentication, desktop-dev, security

Piste de recherche

Start with the live spike while the screen is unlocked: test typed input and AXValue against native NSSecureTextField and a Chrome password field, then test whether SecurityAgent accepts synthetic input. Also verify System Keychain Wi-Fi password access and identify a secure readback signal such as character count. Completion requires a decision on the Keychain-reference and approved-text fill routes, including URL-host matching, approval, logging restrictions, and explicit Touch Touch ID exclusion.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

enhancement

Decision (user, 2026-10-17). Closes #75's gap 2, which unblocks gaps 3 and 4.

Primary: fill from the Keychain by reference.

  • The agent names a Keychain item and never sees the secret.
  • The host reads the item with SecItemCopyMatching, so macOS's own Keychain prompt gates each item.
  • The host fills the item only into an AXSecureTextField in the snapshot. For an internet password, the field's web area URL host must match the item's server.

Fallback: agent-supplied text, with explicit approval.

  • The menu bar app shows a confirmation for each fill, naming the caller, the app and the site.
  • A setting, "Always allow agent-supplied passwords", skips that confirmation. It is off by default.

For both routes:

  • The caller must be approved under #24.
  • The secret is never logged, echoed in results, or kept in Recent Activity. Activity records only that a fill happened, with the caller and the target.
  • A fill is completed only on a readback that doesn't reveal the secret, such as the character count. Otherwise it is unknown.

Live spike first (the screen is unlocked now):

  • Does typed input or an AXValue set reach a secure field while secure keyboard entry is on? Test in a native NSSecureTextField and in a Chrome password input.
  • Does SecurityAgent (the admin prompt) accept synthetic input? Type a dummy value, then cancel. Never submit.
  • Are Wi-Fi passwords reachable, given they're in the System keychain?
  • What readback does a secure field expose?

Touch ID stays unsupported.

Langage dominant
Swift
Étoiles
0
Forks
0
Merge moyen
19 min
PR mergées (30 j)
107

Préparer son environnement

Ce projet ne fournit ni conteneur de développement, ni Dockerfile, ni guide de contribution : l'installation est à votre charge. Commencez par son README, et consultez notre guide de la première contribution pour les étapes générales.

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de githubnext/desktop-tools

Toutes les issues de githubnext/desktop-tools

Issues similaires

Plus d'issues Swift

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.